[Séminaire MoVe] Fanuel Mehari (MoVe, LIP6) : Analyse et réparation dans les chaînes d’approvisionnement logicielles
Friday, May 22, 2026Fanuel Mehari (MoVe, LIP6)
Les logiciels sont toujours de plus en plus dépendants des librairies tierces, ce qui étend leur chaîne d'approvisionnement, et par la même occasion élargit considérablement leur surface d'attaque. Des attaques récentes, comme celles des librairies axios (100 millions téléchargements/semaine) et litellm (97 millions téléchargements/semaine), illustrent par leur ampleur et leur récurrence, leur nocivité et la difficulté à s'en prémunir. Des approches de défense existent, comme celles qui alertent les développeurs/euses lors de l'utilisation de librairies vulnérables, ou celles qui ont recours aux Software Bills of Materials (SBOM) pour cartographier et gérer les dépendances. Cependant, ces approches se heurtent à deux limites importantes qui sont l'identification de l'usage réel des dépendances indirectes, et le format trop restrictif pour les SBOM.Ce séminaire présentera le contexte et les objectifs de ma thèse, un état de l'art des approches existantes, ainsi que les pistes envisagées pour corriger les limites des approches existantes.